「お祈りアプリの利用者名簿が、誰でも丸ごと読めた」。にわかには信じがたい話ですが、これは冗談ではありません。ローマ教皇(きょうこう)が自ら世界に紹介した公式アプリで、約72万人分のメールアドレスや氏名を、認証もなしに外部から取り出せる状態が半年以上続いていました。信仰という最も無防備な領域を狙う攻撃者にとって、これほど「効く」名簿もそうありません。
今回はこの一件を、技術の中身から過去の経緯、そして利用者が取るべき備えまで多方面に掘り下げます。
「Click to Pray」とはどんなアプリなのか
Click to Pray は、教皇の世界祈りネットワーク(Pope's Worldwide Prayer Network)が運営する公式の祈りアプリです。2019年、教皇フランシスコがサン・ピエトロ広場の日曜のお告げの祈りでタブレットを掲げ、世界に向けてダウンロードを呼びかけたことで一気に知られました。教皇公認という、これ以上ない「お墨付き」を持つサービスです。
利用者は、教皇が掲げるその月の祈りの意向に合わせて祈ったり、祈りのリクエストを共有したり、毎日の祈りのリズムに沿って過ごしたりできます。iOS、Android、そしてウェブから使え、7言語に対応。運営元は、この祈りネットワークというバチカンの財団で、アプリ自体はスペインの制作会社が開発したものです。2026年7月時点で、登録アカウント数は719,517件に達していました。
つまりこれは、一個人が趣味で作ったアプリではありません。教皇庁につらなる公的な組織が背負う、いわば「聖なるインフラ」なのです。だからこそ、そこで起きた初歩的なミスは重く受け止める必要があります。
何が起きたのか — 初歩中の初歩の見落とし
アカウントを作ると、利用者には連番の数字の識別番号が1件ずつ割り当てられます。問題は、この識別番号を指定してサーバーに問い合わせるだけで、そのアカウントの個人情報がそっくり返ってきてしまった点にあります。本人確認も、持ち主かどうかの照合もなし。番号を1つずつずらして問い合わせれば、他人の情報が次々と手に入る状態でした。
返ってきていたのは、メールアドレス、姓、名、国、生年月日、権限の種類、アカウントが削除済みかどうか、といった一式です。これは典型的な「安全でない直接オブジェクト参照」と呼ばれる欠陥です(英語の頭文字からアイドアと呼ばれます)。「自分のデータをください」と頼めばもらえる。ここまでは正しい。ところが「他人のデータをください」と頼んでも、そのままもらえてしまう。持ち主かどうかを確かめる、たった一つの判定が抜け落ちていたのです。
この欠陥をひとことで言うと
窓口で「◯番の書類ください」と言えば、それが自分の書類でも他人の書類でも、係員が中身を確かめずに渡してしまう状態。番号が連番なら、1番から順に全員分を請求できてしまいます。
おまけで見つかった、メール認証の綻び
発見者が調べを進めると、もう一つの弱点が見つかりました。新規登録の応答の中に、メール認証用のトークン(合鍵にあたる文字列)がそのまま含まれていたのです。本来このトークンは、届いた確認メールのリンクにだけ埋め込まれているべきもの。ところが登録した瞬間に手渡されてしまうため、受信箱を一切開かずに、他人のメールアドレスでも認証を通せてしまいました。メール認証が「ただのお願い」に成り下がっていたわけです。
さらに困ったことに、アプリが送る確認メール自体が、送信元の正当性を保証する仕組み(いわゆるメール認証)を正しく設定できておらず、受信側で「なりすましの疑いあり」と警告される状態でした。本物のメールが偽物と見分けがつかないのですから、攻撃者は精巧な偽メールを送るまでもありません。本物と同じ「保証ゼロ」の土俵で勝負できてしまう、皮肉な話です。
不具合の影響はどれほど大きいのか
最大の懸念は、約72万件のメールアドレスが「実在する・確認済み」の生きた名簿として抜き取れた点です。番号を止める仕組み(レート制限)もなかったため、理屈のうえでは全アカウントを端から集め切ることが可能でした。運営スタッフのアカウントまで同じ経路で見えていたとされます。
発見者は「利用者の多くはテクノロジーに詳しくない高齢者である可能性が高く、悪質な詐欺師にとっては大量のメールアドレスを入手できる宝の山になり得る」と警告しています。ここが今回の肝です。単なるアドレス流出ではなく、「バチカン公認のアプリを信じて登録した人たち」の名簿だという点が、攻撃者にとっての価値を跳ね上げます。
想像してみてください。「聖なる父があなたに緊急のお願いがあります」という件名の、教皇庁を装ったメールが届く。信仰篤(あつ)い高齢の利用者が、そのリンクを疑うでしょうか。属性が絞り込まれた名簿は、こうした標的型のだましメールの成功率を大きく引き上げます。
一方で、被害を自ら軽くしていた利用者もいました。報道機関の検証によれば、登録時に略名や記号だけのハンドルを使っていた人、あるいは Apple の「メール非公開」機能で自動生成の転送用アドレスを使っていた人は、本物のアドレスも氏名も攻撃者から見えない状態だったのです。日ごろの一手間が、こういう局面で効いてくる好例と言えます。
バチカンの対応 — 半年の沈黙、そして報道後の修正
今回いちばん考えさせられるのは、技術的な穴そのものよりも、その後の対応です。発見者は2026年1月3日、運営に関わる9人に宛てて詳細を報告しました。返信は、誰からも、一切ありませんでした。半年が過ぎても、修正も、受領の連絡すらもなかったといいます。
業を煮やした発見者は、セキュリティ報道で知られる媒体の記者に持ち込みます。その記者が運営組織の広報宛てに連絡しても、やはり反応はありませんでした。事態が動いたのは、記事が公開された後です。2026年7月24日ごろ、静かに問い合わせ経路が修正され、他人の情報は返ってこなくなりました。自分の識別番号なら自分のメールアドレスが返り、他人の識別番号では公開情報だけが返る。約束どおり「たった一つの判定」が加わったのです。
修正されたこと自体は前進です。ただし、発見者への謝辞も、受領の返信も最後までなかったと報告されています。脆弱性の知らせを受け取る公開の窓口や、届け出の受付制度が用意されていれば、半年もの空白は生まれなかったはずです。直すべきは一行の判定だけではなく、「知らせを受け取る仕組み」そのものでした。
規制の観点でも居心地の悪い話です。教皇庁は2024年4月、独自の個人データ保護の枠組みを定めています。組織的な手順、リスク分析、技術的な安全対策を求める内容です。自ら定めた原則が、足元のアプリで守られていなかった構図になります。
過去にも似た不具合はあったのか
残念ながら、今回が初めてではありません。同じ Click to Pray の周辺では、2019年にも印象的な事件が起きています。当時発売された連動デバイス「電子ロザリオ」(約110ドルのウェアラブル)で、ログイン用の4桁の暗証番号が、サーバーの応答にそのまま平文で含まれていたのです。受信箱を開かずとも暗証番号が手に入る構図で、調査会社は10分ほどで問題を見つけたと伝えられています。バチカンは当時、指摘の翌日には修正したとされます。
この電子ロザリオはログイン方式として Google 認証と Facebook 認証にも対応していましたが、問題は「4桁の暗証番号」という代替手段の側にありました。素早く直した点は評価できるものの、あのときの教訓が今回のアプリ基盤に十分引き継がれていたとは言い難い結末です。視野を広げると、バチカン関連のサイトはここ十数年、断続的に攻撃や不備に見舞われてきました。下の表に主な出来事を整理します。
| 時期 | 出来事 |
| 2012年・2015年 | 教義への抗議として、著名なハッカー集団がバチカンのサイトを一時停止に追い込む |
| 2019年 | 電子ロザリオで暗証番号が平文露出。指摘の翌日に修正 |
| 2020年 | 脅威情報企業が、バチカンのシステムを狙った国家関与のサイバー活動を指摘 |
| 2022年 | 教皇の政治的発言の直後、サイトが攻撃とみられる原因で停止 |
| 2023年 | 教会会議の機密文書が、保護のないクラウド上に置かれていたと報じられる |
| 2024年 | バチカンのサイトが再び停止。専門家が攻撃の兆候を指摘 |
こうして並べると、単発の不運ではなく、届け出を受け取り、対応し、再発を防ぐという「運用の土台」が弱いことが繰り返し露呈してきたのだと分かります。
利用者が今すぐできる自衛策
運営側の問題とはいえ、利用者にも守りようはあります。今回、被害を免れた人たちの共通点が、そのままヒントになります。
1. 使い捨て・転送用のメールを活用する
重要度の低いアプリには、本物のアドレスを直接渡さない。Apple の「メール非公開」機能や、各社のメール別名(エイリアス)を使えば、万一漏れても本命のアドレスは守れます。
2. 必須でない個人情報は最小限に
本名や生年月日を求められても、サービス上どうしても必要でなければ、記号を含むハンドルや大まかな情報にとどめる。渡さない情報は漏れようがありません。
3. 「権威」を装うメールほど疑う
教皇庁、役所、銀行など、逆らいにくい相手を名乗るメールほど立ち止まる。本文のリンクは踏まず、公式アプリや公式サイトに自分でアクセスして確認する習慣を。
4. 暗証番号やパスワードを使い回さない
あるサービスで漏れた認証情報が、他のサービスへの入口になります。とくに数桁の暗証番号だけに頼る設計は避け、可能なら二段階の確認を有効に。
要は、「このサービスは自分の情報をきちんと守ってくれる」と過信しないこと。相手が聖なる看板を掲げていても、渡す情報は自分で選べます。
IT小僧コラム — 「一行の判定」を軽く見た代償
現役でシステムに触れていると、今回の穴は「あるある」の典型に見えます。持ち主かどうかを確かめる判定を一つ入れる。それだけの話です。金融まわりの設計でいう最小権限の原則、つまり「その人が触ってよい範囲だけを触らせる」という基本が、素朴に抜けていた。実装の難しさではなく、意識の問題です。
連番の識別番号というのも、設計者にとっては便利で、攻撃者にとっては親切な選択でした。番号が予測できる時点で、量産的な収集の入口を自ら開けているようなものです。ここは、外から推測しにくい値を割り当てるだけでも、ぐっと難度が上がったはずです。
ただ、私が本当に唸(うな)ったのは技術ではなく運用のほうです。半年間、誰も届け出を読まなかった。監査証跡(かんさしょうせき)を残す前に、そもそも「知らせを受け取る窓口」がなかった。直したのが一行の判定なら、直すべきだったのは「気づける組織」への作り替えです。看板が立派なほど、地味な受付業務こそ命綱になる。今回の一件は、その当たり前を静かに突きつけています。
まとめ
教皇公式の祈りアプリで、約72万人分の個人情報が認証なしで取り出せる状態が半年以上続き、報道を機にようやく修正されました。技術的な穴は初歩的な設計ミスで、修正はほぼ一行分。にもかかわらず放置が長引いたのは、届け出を受け取り、対応する運用の土台が欠けていたからです。
現時点で第三者による大規模な悪用は確認されていませんが、属性の絞られた名簿は、だましメールの格好の材料になり得ます。利用者側は、転送用アドレスの活用、情報の出し惜しみ、権威を装うメールへの警戒といった基本で、被害の芽を確実に減らせます。聖なる看板の裏側にも、ごく普通のサーバーと、ごく普通の見落としがある——その事実こそ、今回いちばん胸に刻んでおきたい教訓です。
参考: 発見者の技術ブログ(bobdahacker)、Dark Reading、The Pillar、および2019年当時の各報道。件数などの数値は報道時点のものです。